Certimate: ACME-Zertifikate selbst hosten, vom Antrag bis zur Bereitstellung
Ein Open-Source- und kostenloses ACME-Tool für selbst gehostete SSL-Zertifikate, das den gesamten Zyklus der Ausstellung, Bereitstellung, Erneuerung und Überwachung visuell automatisiert. 完全开源免费的自托管 SSL von ACME工具, 申请、部署、续期、监控全流程自动化可视化，支持各大主流云厂商。.
Auf einen Blick
- Was ist das?
- Bewertung des in Go geschriebenen Self-Hosting-Werkzeugs certimate, das Ausstellung, Verteilung, Erneuerung und Überwachung von SSL-Zertifikaten in einem visuellen Arbeitsablauf automatisiert.
- Für wen ist es gedacht?
- Certimate passt für Selbsthoster und kleine Teams, die Zertifikate für eigene Domains über Cloudflare, AWS oder einen der rund 70 gelisteten DNS-Anbieter verwalten und die Ablage auf Zielen wie Kubernetes oder CDN automatisieren wollen.
- Darf ich es kommerziell nutzen?
- Ja. MIT ist eine freizügige Lizenz: Sie dürfen darauf aufbauende Software nutzen, verändern und verkaufen, solange Sie die Urheberrechts- und Lizenzhinweise beibehalten.
- Wird es noch gepflegt?
- Ja. Die letzten Commits kamen vor 1 Tag.
- In welcher Sprache ist es geschrieben?
- Hauptsächlich Go, laut der Sprachstatistik von GitHub.
Die Antworten beruhen auf den GitHub-Daten des Projekts (zuletzt abgeglichen am 15. September 2026) und auf unserer Analyse. Sie sind keine Rechtsberatung.
TIEFGEHENDE OPEN-SOURCE-ANALYSE
Certimate v0.4.31: ACME-Zertifikate über den vollen Lebenszyklus
Certimate beschreibt sich als freies, selbst gehostetes ACME-Werkzeug für SSL-Zertifikate, das Ausstellung, Verteilung, Erneuerung und Überwachung automatisiert und dabei einen visuellen Arbeitsablauf bietet. Genau diese Vollständigkeit ist der Mehrwert gegenüber nackten ACME-Clients: Ein Zertifikat entsteht nicht nur, es wird auch an die Punkte verteilt, wo es gebraucht wird, und wird rechtzeitig ersetzt. Das Projekt ist in Go geschrieben, steht unter MIT und weist in den Metadaten 9.079 Sterne, 883 Forks und 57 offene Issues auf. Die Release-Folge zeigt kurze Zyklen: v0.4.29 erschien am 31. Juli 2026, v0.4.30 am 10. August, v0.4.31 am 17. August 2026. Die Migration auf die v0.4-Struktur ist in der Dokumentation unter docs.certimate.me mit einem eigenen Leitfaden abgedeckt.
DNS-01 und HTTP-01 mit über 70 DNS-Anbietern
Für die Challenge-Validierung unterstützt Certimate beide gängigen Wege, DNS-01 und HTTP-01. Der DNS-01-Weg ist der praktisch wichtigere, weil er Wildcard-Zertifikate ermöglicht, und die README nennt dafür mehr als 70 DNS-Anbieter, darunter AWS, Cloudflare, GoDaddy, Alibaba Cloud und Tencent Cloud; die vollständige Liste steht in der Provider-Referenz der Dokumentation. Beantragt werden können einzelne Domains, mehrere Domains, Wildcards und sogar Zertifikate für IP-Adressen, wahlweise mit RSA- oder ECC-Schlüssel. Wer einen kleinen DNS-Anbieter nutzt, der in der Referenz fehlt, hat laut Projektdokumentation einen Ausweg: Der Blog-Beitrag zur CNAME-Methode beschreibt, wie eine DNS-01-Challenge über einen CNAME-Eintrag auf einen unterstützten Anbieter delegiert wird. Das erweitert die Abdeckung, ohne am Werkzeug etwas ändern zu müssen.
150+ Bereitstellungsziele von Kubernetes bis CDN
Die zweite Hälfte des Lebenszyklus, die Verteilung, deckt Certimate laut README mit mehr als 150 Zielorten ab, darunter Kubernetes, CDN, WAF und Lastverteiler. Die Unterscheidung zur Konkurrenz aus einfachen ACME-Clients liegt hier: Ein Zertifikat wird einmal beantragt und automatisch an jeden konfigurierten Ablageort übertragen, etwa an einen Ingress-Controller, ein CDN oder eine Web Application Firewall. Formate wie PEM, PFX und JKS werden unterstützt, sodass auch Java-Umgebungen mit JKS-Keystores bedient werden können, ohne ein weiteres Konvertierungswerkzeug zu bemühen. Wie viele dieser Ziele in der eigenen Infrastruktur tatsächlich passen, zeigt ein Blick in die Provider-Referenz der Dokumentation, die Hosting-Anbieter separat von den DNS-Anbietern listet.
Start in einer Minute: ./certimate serve oder Docker auf Port 8090
Der Einstieg ist absichtlich kurz. Als Binary wird ein vorkompiliertes Archiv aus den GitHub-Releases entpackt und mit ./certimate serve gestartet. Alternativ läuft der Docker-Weg mit einem einzigen Aufruf: docker run mit dem Namen certimate, dem Port 8090:8090, einer schreibgeschützten Einbindung von /etc/localtime und /etc/timezone sowie dem Datenvolumen $(pwd)/data gegen /app/pb_data, Image certimate/certimate:latest. Danach öffnet man http://127.0.0.1:8090 im Browser. Keine dieser Varianten verlangt eine Datenbank, eine Laufzeitumgebung oder ein Framework, die README bewirbt das als Zero-Dependencies-Ansatz und nennt einen Speicherbedarf von rund 16 MB. Plattformübergreifend laufen die Builds laut Angabe unter Windows, Linux und macOS, was für den Betrieb auf bestehenden kleinen Servern reicht.
Standardkonto admin@certimate.fun und der MIT-Disclaimer
Nach dem ersten Start lauten das voreingestellte Administratorkonto admin@certimate.fun mit dem Passwort 1234567890, das die README offen ausweist. Das ist für den ersten Login praktisch, aber jeder, der den Dienst über ein Netz erreichbar macht, ohne das Konto zu ändern, gibt eine Zertifikatsverwaltungsstelle mit Zugriff auf DNS-Anmeldedaten her. Der Wechsel des Passworts gehört deshalb unmittelbar nach dem Aufruf von Port 8090 zu den ersten Schritten. Rechtlich verteilt das Projekt unter MIT und ausdrücklich as-is, ohne Gewährleistung jeder Art, der Disclaimer-Abschnitt nennt Datenverlust und Geschäftsunterbrechung als mögliche Folgen und legt die volle Verantwortung beim Anwender. Für ein Werkzeug, das Vertraulichkeiten wie API-Schlüssel von DNS-Anbietern verarbeitet, ist diese Verantwortungsverteilung ein realer Betriebsfaktor.
Benachrichtigungen über Telegram, Slack und Feishu bei Erneuerung
Die Überwachungsseite des Lebenszyklus läuft über Benachrichtigungskanäle: E-Mail, Discord, Slack, Telegram, DingTalk, Feishu und WeCom werden laut README unterstützt. Damit lässt sich der Ausgang jeder Ausstellung oder Erneuerung in den Kanal lenken, den das Team ohnehin liest, ein fehlgeschlagener Lauf wird also nicht erst bemerkt, wenn das Zertifikat abgelaufen ist. Welcher Kanal welchen Inhalt meldet und in welchem Rhythmus Erneuerung angesetzt wird, beschreibt die Dokumentation unter docs.certimate.me im Detail; die README selbst nennt die Kanäle nur als Liste. Community-Fragen laufen über Telegram, für WeChat vermittelt der Autor usual2970 eine Einladung in eine Gruppe. Contributing läuft klassisch über Issues und Pull Requests im Repository, ein Contribution Guide liegt bei.
Stabilitätsfaktor pb_data und Upgrade-Praxis bis v0.4.31
Alle Zustände des Dienstes liegen im Docker-Weg unter dem gemappten Pfad /app/pb_data, Sicherungen reduzieren sich also auf dieses Verzeichnis. Vor einem Upgrade lohnt eine Kopie davon, denn die Release-Folge von v0.4.29 bis v0.4.31 im Abstand von Tagen zeigt, dass Änderungen häufig einlaufen. Die Migration auf v0.4 wird in einem eigenen Dokument begleitet, was darauf hindeutet, dass die Struktur innerhalb der Minor-Version nicht immer ohne Handgriffe wechselt. Wer Certimate auf einem einzigen kleinen Server betreibt, plant am besten einen festen Update-Termin ein, prüft die Release-Hinweise der neuen Version gegen die eigene Konfiguration und startet dann den Container neu. Die Kombination aus lokaler Datenhaltung, niedrigem Speicherbedarf und fehlenden externen Abhängigkeiten hält den Wartungsaufwand dafür klein.
Redaktionelles Fazit
Certimate passt für Selbsthoster und kleine Teams, die Zertifikate für eigene Domains über Cloudflare, AWS oder einen der rund 70 gelisteten DNS-Anbieter verwalten und die Ablage auf Zielen wie Kubernetes oder CDN automatisieren wollen. Unpassend ist es, wenn ein unterstützter Zertifikatsdienst im Unternehmen vertraglich vorgeschrieben ist oder wenn niemand die Verantwortung für einen selbst betriebenen Dienst tragen will, denn die MIT-Verteilung erfolgt ausdrücklich ohne Gewährleistung. Vor dem produktiven Einsatz sollte der Start per ./certimate serve oder Docker getestet und das Standardkonto admin@certimate.fun mit dem voreingestellten Passwort unverzüglich geändert werden.
Community-Notizen